JP3305049B2 - ソフトウェア品質管理システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、ソフトウェアの生産
性向上及び品質向上を図るソフトウェア品質管理システ
ムに関するものである。

【０００２】

【従来の技術】システムやソフトウェアの設計に際し、
設計工程の効率化及び品質向上は非常に重要である。こ
のため、ソフトウェアの動作仕様を形式的に状態遷移モ
デル等を用いて予め記述しておき、それに基づいてプロ
グラムを作成したり、また、動作仕様上で使用されるイ
ベント・アクション等を部品として予め用意しておき、
それに基づいてプログラムを合成する手法が提案されて
いる。

【０００３】最終的なソフトウェアの品質を向上させる
ために、ソフトウェアの動作仕様自身の正しさを保証す
る必要がある。しかしながら、このような手法に関して
確立された技術はない。一般的には、誤りの基準を定
め、状態遷移モデル上で初期状態から順次状態を遷移さ
せながら検査するという方法はあったものの、必要な状
態遷移の系列を絞り込めないという問題や、設計者が効
果的な誤りの基準を設定することが困難であるという問
題があった。

【０００４】また、動作仕様は、必要な機能に主眼をお
いて記述するものである。しかしながら、実際にシステ
ムとして稼働させた場合、動作仕様作成の段階では想定
できない振舞いをする可能性がある。そのようなパター
ン（危険状況）に陥った場合のシステムの品質を確保す
るためのテストも行なう必要がある。このようなパター
ンを動作仕様から抽出する技術は、プログラム上でいち
いちパターンを作成しなければならず、コストも要して
いた。

【０００５】

【発明が解決しようとする課題】上記のように、ソフト
ウェアの設計に際し、状態遷移モデルを使用しても設計
者が記述した動作仕様全体を正確に把握することは難し
かった。また、その動作仕様に誤りが含まれる可能性が
あり、動作仕様の正しさを設計者が容易に確認できるシ
ステムが望まれていた。

【０００６】一般に、動作仕様は機能を重視して記述さ
れ、その機能は、システムが稼働する状況を想定して記
述される。しかしながら、実際にシステムを実行させた
場合に想定していない状況に陥ると、動作仕様そのもの
に意味がなくなる恐れがある。このような非想定状況に
陥った場合のシステムの品質を確保するために、動作仕
様そのもので想定されていない状況を検出しておき、実
システムのテストにおいて支援する必要があった。具体
的には、制御用システムは、物理対象を扱うものである
ため、想定していない状況下に陥る場合もあり得る。例
えば、制御用ソフトウェアに多いマイコンソフトウェア
では、外界の状況によってノイズ等が入り込み、予期せ
ぬ値がＲＡＭ上に入り込んだり、物理的制御対象が長時
間の使用により機能、性能劣化を引き起こし、想定して
いない状況になり得る場合があった。

【０００７】さらに、ソフトウェアはその危険状況に対
処する処理が含まれていなければならないが、動作仕様
を確定した段階では想定していない危険状況におけるテ
ストを効率的に実施することは容易ではなかった。

【０００８】本発明は、システムに使用されるソフトウ
ェアの設計に際し、ソフトウェアの動作仕様の段階で誤
りを削除することを支援し、これに加えて、動作仕様の
特徴を抽出し、そこから危険状況を検出し、異常テスト
ケースをユーザに提示することにより、ソフトウェア開
発の生産性向上と作成されたソフトウェアの品質を向上
させることを目的とする。

【０００９】

【課題を解決するための手段】本発明は、与えられた制
御対象情報及び動作仕様に基づいてソフトウェアの動作
誤りを検出し、これをユーザに提示して修正支援するソ
フトウェア品質管理システムにおいて、前記動作仕様に
基づいて状態遷移系列を生成するとともに、該状態遷移
系列の各ノードの状態集合を生成する動作仕様認識手段
と、この動作仕様認識手段により生成された状態遷移系
列及び状態集合並びに前記制御対象情報に基づいて制御
対象間に成立する特徴を抽出する特徴抽出手段と、この
特徴抽出手段により抽出された特徴に基づいて所定の規
則を導出する規則導出手段と、この規則導出手段により
導出された規則をユーザに提示して修正を支援する手段
とを有することを特徴とするソフトウェア品質管理シス
テムである。

【００１０】

【作用】本発明に係るソフトウェア品質管理システム
（以下「本システム」という）は、動作仕様認識部、規
則導出部、動作仕様修正支援部及び危険状況テスト支援
部に大別される。

【００１１】本システムでは、制御用ソフトウェアの動
作仕様を記述する際、予め制御対象を事前に定義してお
き、使用できる制御対象をすべて洗い出すとともに、さ
らにその制御対象のとり得る状態を明確にする。ユーザ
は制御対象の定義の範囲内で動作仕様を記述する。即
ち、定義されている制御対象を用いて動作仕様を記述す
る。動作仕様で使用される制御対象と、その制御対象の
とり得る状態は有限である。また、動作仕様と各制御対
象の状態とを関係付けることができる。これより、動作
仕様認識部は、動作仕様を網羅的に分析し、動作仕様内
で各制御対象がいかなる振舞いをするかを認識する。

【００１２】動作仕様を形式的に記述した場合、記述ル
ールが定まっているので、その記述ルールに従い、動作
仕様からシステムがとり得る状況の推移を取り出すこと
ができる。状況とはシステムを構成する制御対象の状態
集合である。状況の推移は条件等により変化する。動作
仕様認識部は、その条件等も加味し、状況の推移パター
ンをすべて抽出する。

【００１３】規則導出部では、制御対象に着目して動作
仕様を認識した結果を分析することにより、その特徴を
抽出し、抽出された特徴に基づいて所定の規則を導出す
る、本システムにおいて導出する規則は３種類ある。

【００１４】第１の規則は、動作仕様認識部で理解され
た状況推移パターンの集合から、ある特定の制御対象群
に着目して、各状況推移パターンにおいて同一の規則が
成立している部分を抽出することにより導出される規則
である。つまり、制御対象間に常に成立する関係とその
関係から別の関係に推移するための条件（トリガー）で
ある。これは、一般規則導出部により導出される。

【００１５】動作仕様を記述することは、複数の制御対
象を適切に操作することにより目的の機能を実現するこ
とである。この機能を実現するために、各制御対象の状
態間には特別な規則が存在する。従って、一般規則導出
部で導出された結果から、制御対象間に成立している規
則を明らかにすることができ、その内容を確認すること
により、動作仕様の正しさを示すことができる。

【００１６】従って、第２の規則は、動作仕様認識部で
理解された状況推移パターンの集合から、ある特定の制
御対象群に着目して、一般規則導出部により導出された
規則を満たさない状況を抽出することにより導出される
規則である。これは、特異規則導出部により導出され
る。特異規則導出部は、特異規則として一般規則導出部
から導出された規則に該当しない状況及びその条件と、
動作仕様認識部で認識された状況推移パターンの集合及
び一般規則との差分をとることにより導出される。

【００１７】特異規則として導出された結果は、ユーザ
が誤った記述をしてしまった場合と、ユーザが意図的に
記述した場合とがある。前者の場合、動作仕様の誤りが
検出されることになる。また、後者の場合、設計者が自
分の記述した動作仕様の確認を行なうことができる。

【００１８】第３の規則は、対象となる制御対象間で一
般規則導出部及び特異規則導出部で導出された規則以外
の状況、つまり、動作仕様上ではあり得ない状況（非成
立規則）を抽出することにより導出される規則である。
これは、非成立規則導出部により導出される。制御対象
は有限であり、そのとり得る状態も有限ゆえ、予め定義
された制御対象情報からその対象群の取り得る全状態集
合を生成することができる。従って、非成立規則導出部
は、制御対象情報から生成された全状態集合と、一般規
則導出部及び特異規則導出部で導出された規則との差分
を取ることにより、動作仕様上では成立しない制御対象
の状況を導出する。

【００１９】ユーザは、非成立規則として導出された結
果から、意図する動作仕様において導出された状況があ
り得ないことが確認でき、動作仕様の正しさを示すこと
ができる。また、もし記述に洩れがあったためにその状
況が導出されたのであれば、誤りを検出できることにな
る。

【００２０】危険状況テスト支援部では、ソフトウェア
の動作試験を行なうべくハードウェアの信号に相当する
信号を与えて、その信号に対するソフトウェアの振舞い
を確認する際に、特に適切に行なうことが難しいとされ
る想定外の状況におけるテストを支援する。

【００２１】実際のシステム実行に際し、非成立規則導
出部で導出された状況は発生してはならないが、もしそ
のような危険状況になった場合であっても、支障なくシ
ステムが動作することを確認しておく必要がある。異常
テストケース作成支援部は、かかる場合の確認を効果的
に支援する。即ち、動作仕様認識部において生成された
状況推移パターンの各状況において、非成立規則導出部
で導出された規則が成立する可能性が高い（危険状況
の）動作仕様を抽出し、その状況に至る系列を提示す
る。また、非成立規則導出部で導出された規則に基づい
て動作仕様上でどのように状況が推移し、どこで想定外
の状況を発生させることが有効かを提示する。

【００２２】ここにいう可能性の高い状況は以下の手順
で判断する。 (i) 非成立規則導出部で導出された規則Ｃのうち、一
部が成立している状況を動作仕様認識部で抽出された状
況推移パターンの中から判断する。

【００２３】例えば、Ｃが、（ａ＆ｂ）というものであ
れば、“ａ及びｂ”が成立している状況をまず抽出す
る。 (ii) 動作仕様は状態遷移図等で構造的に記述されてい
るため、繰り返し等が発生する部分を認識することが可
能である。従って、上記(i) で抽出された状況が動作仕
様の中でどの程度頻繁に発生するかが判断でき、Ｃ：＝
（ａ＆ｂ）の状況が発生する最も可能性が高い部分を動
作仕様の中から選び出すことができる。

【００２４】なお、上記手順に限らず、経験的な基準を
与えてもよい。危険状況テスト支援部では、動作仕様を
分析する段階で、制御対象に着目し、動作仕様では想定
していない状況になり得る危険性の高い箇所を明らかに
する。これにより、そのテストを効果的に支援すること
が可能となる。

【００２５】上述のように本発明に係るソフトウェア品
質管理システムは、上記のように動作仕様の品質を高め
るとともに、見逃されがちな状況のテストの支援も行な
うこことができ、ソフトウェア全体、しいてはシステム
としての品質を向上させることができる。

【００２６】

【実施例】以下、図面を参照しながら、本システムにつ
いて説明する。まず、本システムの概略を説明する。本
システムは、前処理段階として、ユーザ（制御対象設計
者）によって制御対象情報が入力され、また、動作仕様
が作成される。次に、本システムは、この動作仕様に基
づいて状態遷移系列を生成すると共に、モデルを生成す
る。生成された状態遷移系列に基づき、与えられた動作
仕様について特徴を抽出する。抽出された特徴はユーザ
に提示され、部品設計者はこれに基づいて動作仕様を修
正する。さらに、本システムは、動作仕様が所望の機能
が実現されているか否かを確認するため、得られた動作
仕様に対して想定していない状況（危険状況）における
テストを行い、ユーザを支援する。

【００２７】図１は、本発明に係るソフトウェア品質管
理システムの構成を示す図である。同図において、制御
対象設計者Ａにより列挙された制御対象は、ユーザイン
ターフェイス１の入力部（図示せず）から入力され、制
御対象情報記憶部２に記憶、管理される。インターフェ
イス１は、図５において後述するように各種データやコ
マンド等を入力する入力部１ａ、この入力部１ａより入
力された各種データやコマンド等を解釈し、それに従っ
て各種の制御を行う編集制御部１ｂ及び各種データやコ
マンドその他ユーザに必要な情報を提示する表示部１ｃ
より構成される。ここで、制御対象とは、制御の最小単
位となるプリミティブなハードウェアを定義したものを
いう。この制御対象は、適宜、ユーザインターフェイス
１の表示部（図示せず）上に提示される。一方、動制御
対象設計者Ａは、この表示部により提示された制御対象
のそれぞれについて、状態集合を明らかにして、それに
対応する状態を入力する。入力された状態は、制御対象
名をキーに相互に関連付けられて制御対象情報として制
御対象情報記憶部２に記憶、管理される。以下に示すも
のは、冷却ファンの制御対象の状態の一例である。

【００２８】1. INIT : 冷却ファンが初期状態 2. ON : 冷却ファンがONの状態 3. OFF : 冷却ファンがOFF の状態 表１は、制御対象情報記憶部２に記憶されている制御対
象情報の一例を示すものである。

【００２９】

【表１】

【００３０】これは、冷却ファン、熱風ヒーター及び調
理タイマーの制御対象情報を示している。一方、動作仕
様設計者Ｂはまた、制御対象設計者Ａによって定義され
た制御対象から、システム全体の動作仕様を状態遷移図
を用いて作成する。図２は、状態遷移図で記述された動
作仕様の一例を示す図である。図２に示すように、状態
遷移図は、ノード２１及び遷移２２で構成され、それぞ
れの遷移２２は条件（イベント）及び処理（アクショ
ン）から構成される。ここで、イベントとは、ある制御
対象の状態を認識するものであり、アクションとは、あ
る制御対象を操作するものである。以下に、イベント及
びアクションの一例を示す。

【００３１】イベント例 ：［調理タイマ，タイムアウ
ト］ 制御対象「調理タイマ」がタイムアウトしたかを判断す
る。 アクション例：［冷却ファン，ＯＮ] 制御対象「冷却ファン」を直ちにＯＮにする。

【００３２】これらは、本システム内ではいずれも、
［制御対象名，操作名］の形式で記述される。このよう
に、動作仕様設計者Ｂは、システムの目的機能を制御対
象の状態に着目して状態遷移図の形式で記述する。この
場合、使用できる制御対象は、制御対象情報記憶部２に
定義されているもののみであり、そこで使用できる操作
名は制御対象情報記憶部２の各制御対象毎に定義されて
いるもののみである。記述された動作仕様は、動作仕様
記憶部３で記憶・管理される。

【００３３】動作仕様設計者Ｂによる動作仕様の作成終
了後、動作仕様認識部４は、動作仕様記憶部４より動作
仕様を読み出して、状態遷移系列を生成し、さらに、こ
の状態遷移系列から生成されたモデル及び系列を規則導
出部５に送出する。

【００３４】図３は、動作仕様認識部４の詳細を説明す
るための図である。状態遷移系列生成部３１は、動作仕
様記憶部３から動作仕様を読み出して、初期状態から順
に系列を抽出して、図４に示すような状態遷移系列木に
展開していく。この状態遷移系列木は、状態遷移図を木
構造の如く表したものであり、ノード４１及び遷移４２
から構成される。例えば、図２に示した状態遷移図は、
Initial ノードからFinal ノードまで進むに際し、幾通
りも経路（path）４３が存在する。従って、状態遷移図
においてこのような幾通りもの経路が存在する部分にお
いては、同じ木構造が現れるため、後述するように同一
モデルとして認識されてそれより下位の階層は簡略され
る。動作仕様認識部４は、これらの経路に基づいて木構
造の状態遷移系列木として展開する。

【００３５】一方、モデル生成部３２は、状態遷移系列
生成部３１により展開される状態遷移系列木の系列を延
ばすごとに、各ノードにおける全制御対象の状態を生成
し、保持する。本実施例においては、制御対象の状態集
合、即ち、状況をモデルと呼ぶことにする。

【００３６】モデルの一例として、図４を参照して説明
する。 Ｍ ＝ ｛熱風ヒータ（OFF ），冷却ファン（OFF ），
調理タイマ（タイムアウト），測定温度（下限温度以
下）｝ これは、熱風ヒータがOFF 、冷却ファンがOFF 、調理タ
イマがタイムアウト、測定温度が下限温度以下であるこ
とを示している。

【００３７】制御対象の状態は、動作仕様上のイベント
・アクションの制御対象名と操作名とから判断すること
ができる。従って、モデル生成部３２は、これらに基づ
いてモデル及び系列を生成する。

【００３８】このモデル生成部３２による生成は、以下
の条件に従って終了する。即ち、 i) 系列が状態遷移図の終了状態に到達した場合、また
は、 ii) 系列が状態遷移図上で過去に通過したノードに到達
し、かつ前回までに通過したときのモデルと新たに到達
した時のモデルとが一致した場合。 である。

【００３９】即ち、上記終了条件ii) は、同一モデルが
存在する場合、さらに系列を生成しても同じ系列しか生
成されないためである。図４において、Model-1 とMode
l-2とが同一モデルとして認識されている。

【００４０】なお、モデル生成部３２は、系列に対し単
に全遷移を網羅するように生成するのではなく、各制御
対象に着目し、モデルの内容を考慮してに全遷移を網羅
するように生成する。ゆえに、動作仕様認識部４は、実
際にシステムを動かした場合に起こり得るすべての状況
を認識することになる。

【００４１】次に、規則導出部５について説明する。規
則導出部５は、動作仕様認識部４で生成された状態遷移
系列から、その動作仕様の特徴を抽出し、所定の規則を
逐次導出する。

【００４２】図５は、規則導出部５の詳細を説明するた
めの図である。同図において、ユーザは、ユーザインタ
ーフェイス１を介して、特徴を抽出する制御対象群を指
定する。例えば、冷却ファン及び熱風ヒータを指定す
る。動作仕様特徴抽出部５１は、この指定された制御対
象群に着目して状態遷移系列を分析する。即ち、動作仕
様特徴抽出部５１は、状態遷移系列のモデルの中から、
冷却ファンと熱風ヒータの状態のみを抽出する。具体的
には、図６に示すように、図４の状態遷移系列上に生成
された９個のモデルＭから制御対象間に成立する規則を
抽出する。この抽出された情報は、成立関係、発生頻度
及び崩れ条件の３つの要素から構成される。

【００４３】ここで、成立関係とは、制御対象間で成立
する関係をいい、例えば、熱風ヒータの状態がONのと
き、冷却ファンがINIT，OFF 又はONの各状態をとり得る
ことがあることを意味する。また、発生頻度とは、成立
する関係の発生する頻度をいい、例えば、熱風ヒータの
状態がINITであり、かつ、冷却ファンの状態がINITであ
る状況は１度だけ起こることを意味する。また、状態遷
移系列から判断して、その状況が起きる回数が数えられ
る場合にはその数を示す。同一モデルが存在し、遷移が
ループするためにその数が明確にならないときは、Ｎ度
起きることとする。また、崩れ条件とは、成立関係が崩
れるときの条件、つまり上述した制御対象間の関係が崩
れるときの条件であり、動作仕様上でのイベントで表さ
れる。

【００４４】一般規則導出部５２は、動作仕様特徴抽出
部５１により抽出された特徴のうち、発生頻度Ｎのもの
について着目し、これに関連するその他の情報をユーザ
インタフェース１を介してユーザに提示する。図７は、
一般規則導出部５２によって提示された画面表示の一例
を示す図である。

【００４５】ユーザは、提示されたこれらの情報に基づ
いて、自らが記述した動作仕様の確認をすることができ
る。さらに、他のユーザが記述した動作仕様であって
も、容易に特徴を把握することが可能となる。

【００４６】特異規則抽出部５３は、動作仕様特徴抽出
部５１により抽出された特徴のうち、発生頻度が明確に
なっているものについて着目し、これに関連するその他
の情報をユーザインタフェース１を介して設計者に提示
する。図８は、特異規則導出部６３によって提示された
画面表示の一例を示す図である。

【００４７】ユーザは、提示されたこれらの情報に基づ
いて、自らが記述した動作仕様の確認をすることができ
る。一般規則導出部５２により提示された規則と異なる
点は、特異規則導出部５３で導出された規則は、動作仕
様の中において稀に起きる制御対象の状態を示してい
る。従って、そのような状況は、本来、特別な意味があ
るはずであり、その意図が正しく動作仕様上に反映され
ていることを確認することができる。また、本来そのよ
うな仕様を記述するつもりでなく、特異規則の中に含ま
れるべき動作仕様を誤ってしまったときであっても、そ
の発見を行なうことができるようになる。

【００４８】非成立規則導出部５４は、動作仕様特徴抽
出部５１により抽出された特徴のうち、制御対象情報記
憶部２からの動作仕様では、あり得ない制御対象間の規
則を抽出してユーザインタフェース１を介してユーザに
提示する。

【００４９】ところで、制御対象情報記憶部２には、各
制御対象のとり得る状態が定義されている。そこから、
各制御対象間のとり得る状態集合が生成できる。一例と
して、冷却ファン・熱風ヒータに着目した場合、 冷却ファン INIT INIT INIT ON ON ON OF
F OFF OFF 熱風ヒータ INIT ON OFF INIT ON OFF IN
IT ON OFF の９通りの状況をとり得ることになる。従って、これら
９通りの状況から一般規則導出部５２及び特異規則導出
部５３で導出された結果の差分をとることにより非成立
規則を導出することができる。図９は、非成立規則導出
部５４によって提示された画面表示の一例を示す図であ
る。

【００５０】ユーザは、提示されたこれらの情報に基づ
いて、自らが記述した動作仕様の確認をすることができ
る。一般規則導出部５２により提示されたものと比較す
ると、非成立規則導出部５４で導出された規則は、動作
仕様の中においては起き得ない制御対象の状態であるこ
とを示している。従って、このような情報を得ることが
できれば、その規則に当てはまる制御対象の操作をして
はならない場合の確認を行うことができる。例えば、図
９の場合、冷却ファンと熱風ヒータが物理的又は意味的
に同時にON状態になることが許されないとすれば、その
特徴がユーザに提示される。また、その規則に当てはま
る状況に対してユーザが動作仕様上で記述洩れをした場
合、その誤りを発見することができる。

【００５１】次に、動作仕様修正支援部６について説明
する。動作仕様修正支援部６は、規則導出部５において
導出された結果をユーザインタフェース１を介してユー
ザに提示し、その結果に基づいてユーザの動作仕様の修
正を支援する。

【００５２】例えば、一般規則導出部５２又は特異規則
導出部５３で提示された結果の１つをユーザが選択する
と、選択された規則が成立する系列を動作仕様上で表示
する。状態遷移系列生成部３１に規則を与え、規則が成
立しているモデルを選び、そのノードまでの系列を取り
出し、動作仕様上で表示する。

【００５３】図１０は、動作仕様修正支援部６により提
示された画面表示の一例を示す図である。図１０（ａ）
は、特異規則導出部５３で導出された規則の中から１つ
を選択した状態を示しており、同図（ｂ）は、選択され
た規則が成立する系列を表示した状態を示している。同
図（ｂ）において、太実線１０１は、対象となる系列で
あり、破線１０２は、これにより、ユーザは動作仕様を
容易に変更することが可能になる。

【００５４】次に、危険状況テスト支援部７について説
明する。危険状況テスト支援部７では、動作仕様を確定
した段階では想定していない状況（物理的に想定外の振
舞いを起こしたケース）におけるテストを支援する。こ
れは、非成立規則導出部５４で導出された非成立規則に
対するテストを行なうことに相当する。通常の動作仕様
が機能を重視して記述されており、その機能が実現され
ているかを確認するためのテスト支援は従来から多くの
アプローチがあるが、本システムでは、それ以外のテス
トを支援するものである。

【００５５】即ち、危険状況テスト支援部７は、非成立
規則導出部５４の情報をテスト担当者Ｃ向けに変換し、
チェックリスト形式で提示し、テスト担当者の指示によ
り、テストケースを表示する。図１１は、テスト担当者
の指示手順を説明するための図である。利用者は、ま
ず、危険状況を選択する（step 1）。次に、その選択し
た危険状況は、「絶対に起こり得ないか」を判断し（st
ep 2）、起こり得ないのであれば、チェックリストに記
入する（step 3）。次に、「その状況に陥ってもシステ
ムにおいて機能的に問題がないか」をチェックする。同
様に、「ソフトもしくはハードで対処しているか」、
「テストを実行するか」、「テストケースを生成する
か」についてチェックリストに記入する（step 4〜step
6）。「テストケースを生成するか」について「Ｙｅ
ｓ」とした場合は、システムはテストケースを表示する
（step 7〜step 8）。

【００５６】図１２（ａ）は、本システムのチェックリ
ストの一例を示す図である。テスト担当者は、このリス
トを確認し、テストが必要であると判断したものについ
ては、動作仕様上でその状況を発生させることができる
系列を状態遷移系列生成部３１を用いて生成する（図１
２（ｂ））。また、図１２（ｃ）は、ユーザインタフェ
ース上に表示された状態を示す図である。同図におい
て、太実線１２１が対象となる系列であり、破線１２２
において危険な状況を発生させた場合をテストせよとい
うことを意味する。従来のソフトウェアシミュレータ等
を用いて、太実線１２１に沿った系列に対応する信号を
送り、破線１２２の部分で予定外の信号を送ればテスト
を行なうことができる。

【００５７】ところで、図１２（ａ）は系列１〜系列ｎ
が示してあり、危険状況が発生する可能性が高いものか
ら表示している。この表示順位の判定は、以下に示す手
順で行われる。

【００５８】まず、危険状況として、 熱風ヒータ（ON）＆冷却ファン（ON） が選択されたとする。

【００５９】次に、熱風ヒータ（ON）もしくは冷却ファ
ン（ON）が成立している状況を抽出する。これは、動作
仕様認識部４で生成された状態遷移系列から判断する。
即ち、図４に示した状態遷移系列の場合、モデルＭの中
で 熱風ヒータ（ON）＆冷却ファン（ON） が成立している部分を取り出す。図４に対して抽出した
結果を図１３に示す。同図において、網掛け１３１で示
した状態で条件を満たすことになる。

【００６０】次に、抽出された結果の中で頻繁に発生す
るのは、Model-１ → Model- ２とModel-２ → Model
- １である。ゆえに、Model-1 と Model-2 上で危険状
況が発生する可能性が最も高いと判断される。

【００６１】このような手順で系列の順位を決定する。
テスト担当者Ｃへは図１３に示された系列に基づいてIn
itial 状態から切り出すことによって提示され、この結
果に基づいてテスト担当者Ｃは想定外の物理的状況に対
しても正しい認識が行なえ、必要な場合にはテストを実
施しておくことができる。

【００６２】なお、ここで説明したものは、一実施例で
あり、対象はこれらに限ったものではない。状態遷移図
に関しても、ここで取り上げた同等の情報が得られれば
問題なくこのシステムを利用することができる。

【００６３】

【発明の効果】本発明によれば、制御用ソフトウェアを
開発する場合に、制御対象に着目することにより、ソフ
トウェア動作仕様を自動的に理解し、その特徴を抽出し
その正しさを確認することにより動作仕様の品質を向上
させることができる。

【００６４】また、従来不十分であった想定外の状況に
対するテストを動作仕様の情報から支援することがで
き、システム全体としての品質向上が期待できる。さら
に、ソフトウェア生産サイクルの後戻りを根本的に減ら
し、生産性が向上する。以上により、制御用ソフトウェ
ア開発の生産性向上とソフトウェアの品質向上が期待で
きる。

【図面の簡単な説明】

【図１】 本発明に係るソフトウェア品質管理システム
の構成を示す図。

【図２】 状態遷移図で記述された動作仕様の一例を示
す図。

【図３】 動作仕様認識部の詳細を説明するための図。

【図４】 図２の動作仕様に対する状態遷移系列を示す
図。

【図５】 規則導出部の詳細を説明するための図。

【図６】 制御対象制御対象間に成立する規則を抽出し
た一例を示す図。

【図７】 一般規則導出部によって提示された画面表示
の一例を示す図。

【図８】 特異規則導出部によって提示された画面表示
の一例を示す図。

【図９】 非成立規則導出部によって提示された画面表
示の一例を示す図。

【図１０】 動作仕様修正支援部６により提示された画
面表示の一例を示す図。

【図１１】 テスト担当者の指示手順を説明するための
図

【図１２】 危険状況テスト支援部によって提示された
画面表示の一例を示す図。

【図１３】 図４に対する危険状況を抽出した結果を示
す図。

【符号の説明】

１…インターフェイス ２…制御対象情報記憶部 ３…動作仕様記憶部 ４…動作仕様認識部 ５…規則導出部 ６…動作仕様修正支援部 ７…危険状況テスト支援部 ３１…状態遷移系列生成部 ３２…モデル生成部 ５１…動作仕様特徴抽出部 ５２…一般規則導出部 ５３…特異規則導出部 ５４…非成立規則導出部 Ａ…動作対象設計者 Ｂ…動作仕様設計者 Ｃ…テスト担当者

フロントページの続き (56)参考文献 加賀谷聡、岸美保子、加地浩一、松村 一夫，状態遷移モデルに基づくプログラ ム部品合成システム「でき丸」，電子情 報通信学会技術研究報告，日本，社団法 人電子情報通信学会，1992年５月27日, 第92巻 第58号，第31頁〜第38頁 平山雅之、三原幸博、岸本卓也，小規 模制御用ソフトウエア開発支援技術，東 芝レビュー，日本，株式会社東芝，1992 年１月１日，第47巻 第１号，第59頁〜 第62頁 深谷哲司、平山雅之、三原幸博，状態 遷移モデルに基づく仕様検証の一考察, 情報処理学会第43回（平成３年後期）全 国大会講演論文集（５），日本，社団法 人情報処理学会，1991年10月19日，第43 巻 第５号，第325頁〜第326頁 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 9/06 G06F 11/36 G06F 11/28

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】 与えられた制御対象情報及び動作仕様に
   基づいてソフトウェアの動作誤りを検出し、これをユー
   ザに提示して修正支援するソフトウェア品質管理システ
   ムにおいて、 前記動作仕様に基づいて状態遷移系列を生成するととも
   に、該状態遷移系列の各ノードの状態集合を生成する動
   作仕様認識手段と、 この動作仕様認識手段により生成された状態遷移系列及
   び状態集合並びに前記制御対象情報に基づいて制御対象
   間に成立する特徴を抽出する特徴抽出手段と、 この特徴抽出手段により抽出された特徴に基づいて所定
   の規則を導出する規則導出手段と、 この規則導出手段により導出された規則をユーザに提示
   して修正を支援する手段とを有することを特徴とするソ
   フトウェア品質管理システム。
2. 【請求項２】 前記特徴抽出手段により抽出される特徴
   は、前記制御対象間で成立する関係に関する情報と、該
   関係が発生する頻度に関する情報と、該関係が崩れると
   きの条件に関する情報からなることを特徴とする請求項
   １記載のソフトウェア品質管理システム。
3. 【請求項３】 前記規則導出手段は、前記制御対象間で
   成立する関係の発生する頻度が明確にならない部分を抽
   出することにより第１の規則を導出する一般規則導出手
   段と、前記制御対象間で成立する関係の発生する頻度が
   明確になる部分を抽出することにより第２の規則を導出
   する特異規則導出手段と、前記動作仕様では前記制御対
   象間で成立し得ない関係を抽出することにより第３の規
   則を導出する非成立規則導出手段とからなることを特徴
   とする請求項１記載のソフトウェア品質管理システム。
4. 【請求項４】 前記第３の規則に基づいて特定される前
   記状態遷移系列に対して異常動作を発生させる手段を備
   えたことを特徴とする請求項３記載のソフトウェア品質
   管理システム。